Parere del Garante n. 469 del 04/08/2025

Parere sugli schemi di DPCM sul Sistema IT-Wallet

Il Garante per la protezione dei dati personali esprime parere favorevole, nei termini illustrati in motivazione, sugli schemi di decreti del Presidente del Consiglio dei Ministri previsti dall’art. 64-quater del d.lgs. 7 marzo 2005, n. 82 (CAD), relativi al Sistema di portafoglio digitale italiano (IT-Wallet). Il parere riguarda congiuntamente lo schema di decreto che approva le Linee Guida del Sistema e lo schema di decreto che definisce compiti, funzioni e profili di trattamento dei dati personali, in un contesto di sperimentazione collegato anche all’attuazione del PNRR.

Quadro normativo di riferimento

L’Autorità richiama il GDPR, il Codice privacy, il regolamento eIDAS come modificato dal regolamento (UE) 2024/1183 e i relativi regolamenti di esecuzione della Commissione. Viene evidenziato che il Garante deve essere consultato, ai sensi dell’art. 36, par. 4, GDPR, su ogni atto normativo o regolatorio che disciplini trattamenti di dati personali, anche quando la legge non preveda espressamente il parere su un atto attuativo.

Oggetto degli schemi esaminati

Lo schema di decreto adottato ai sensi dell’art. 64-quater, comma 3, CAD approva le Linee Guida del Sistema IT-Wallet, parte integrante del decreto, e ne prevede l’integrazione con Specifiche Tecniche. Tali Linee Guida definiscono il quadro di riferimento per l’implementazione del sistema nella fase di sperimentazione, i principi generali, gli indirizzi operativi, i ruoli e le responsabilità degli attori coinvolti, nonché le funzionalità primarie delle soluzioni IT-Wallet e l’architettura tecnologica di alto livello.

Lo schema di decreto adottato ai sensi dell’art. 64-quater, comma 5, CAD disciplina invece i compiti e le funzioni dei soggetti coinvolti, la disponibilità dell’IT-Wallet pubblico, l’accesso ai servizi in rete, l’avvio delle soluzioni private e i principi di sostenibilità economica, rinviando a un successivo decreto la definizione dei servizi essenziali e remunerabili.

Soggetti del Sistema IT-Wallet e fasi di sperimentazione

Gli schemi individuano i principali soggetti del Sistema: AgID, IPZS, PagoPA, i fornitori di attestati elettronici di attributi, i fornitori di soluzioni IT-Wallet private, i verificatori di attestati elettronici, i titolari di fonti autentiche e gli utenti.

In fase di sperimentazione, il sistema prevede la disponibilità prioritaria di diversi attestati elettronici di interesse pubblico, quali:

• ISEE, con dati provenienti da INPS;
• titolo di studio conseguito e iscrizione scolastica, con dati del Ministero dell’istruzione e del merito;
• titolo accademico conseguito e iscrizione all’istituzione di formazione superiore, con dati del Ministero dell’università e della ricerca;
• residenza, godimento dei diritti politici, iscrizione alle liste elettorali e soglie di età, con dati del Ministero dell’interno;
• tessera sanitaria / TEAM, con dati del Ministero dell’economia e delle finanze;
• patente di guida mobile, con dati del Ministero delle infrastrutture e trasporti;
• carta europea della disabilità, con dati INPS.

Profili privacy: ruoli, basi di liceità e garanzie

L’art. 8 dello schema di decreto ex comma 5 disciplina i ruoli privacy: IPZS è qualificato titolare del trattamento per la progettazione, realizzazione, implementazione e gestione dell’infrastruttura del Sistema, nonché quale unico fornitore del Registro IT-Wallet e degli attestati di dati di identificazione personale; le fonti autentiche sono titolari per l’emissione degli attestati di attributi e la gestione della loro revoca/verifica; le pubbliche amministrazioni che emettono attestati di interesse pubblico si avvalgono di IPZS quale responsabile del trattamento; fuori da tali casi, i soggetti che operano come fonti autentiche possono avvalersi di fornitori di attestati di attributi designati responsabili ai sensi dell’art. 28 GDPR.

Il Garante osserva che tale disciplina è coerente con i principi di privacy by design e privacy by default di cui all’art. 25 GDPR e con i principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della finalità di cui all’art. 5 GDPR. È positivamente valutata anche la previsione di un decreto del Capo del DTD, previo parere del Garante, che dovrà definire le misure tecniche e organizzative sulla base di una valutazione d’impatto ex art. 35, par. 10, GDPR.

Aspetti che hanno ricevuto rilievo favorevole

Il Garante richiama come elementi positivi le previsioni che:

• impediscono a fornitori e terzi di tracciare, collegare o correlare le transazioni o il comportamento dell’utente dopo il rilascio degli attestati, salvo esplicita autorizzazione;
• impongono tecniche di tutela della vita privata che impediscano collegamenti quando l’attestato non richiede l’identificazione dell’utente;
• vietano al fornitore della soluzione IT-Wallet di combinare dati relativi all’uso del sistema con dati provenienti da altri servizi, salvo richiesta espressa dell’utente;
• impongono la separazione logica dei dati relativi all’IT-Wallet rispetto agli altri dati detenuti dal fornitore;
• vietano analoghe combinazioni di dati ai fornitori di attestati elettronici di attributi, anche quando svolgano altri servizi fiduciari.

Punti di attenzione e richieste del Garante

Pur non formulando rilievi ostativi sugli schemi, il Garante segnala alcuni profili che richiederanno successivi passaggi di controllo e consultazione.

In particolare, ritiene necessario che:

• il regolamento AgID sulle procedure amministrative di registrazione al Sistema sia previamente sottoposto alla consultazione del Garante, anche perché disciplinerà i requisiti di onorabilità delle persone fisiche di riferimento dei soggetti aderenti, in relazione all’art. 10 GDPR e agli artt. 2-sexies e 2-octies del Codice;
• il futuro decreto sui servizi remunerabili, adottato ai sensi dell’art. 7, comma 8, dello schema, sia anch’esso sottoposto al parere dell’Autorità, in ragione dei trattamenti connessi ai servizi non essenziali e alle tariffe applicabili;
• la valutazione d’impatto sulla protezione dei dati sia svolta dal soggetto preposto alla base giuridica, con il supporto di IPZS e PagoPA e sentiti gli altri soggetti coinvolti, prestando particolare attenzione ai criteri di anonimizzazione dei dati eventualmente utilizzati per finalità di miglioramento dei servizi e valorizzazione del patrimonio aziendale;
• AgID sia espressamente indicata quale titolare dei trattamenti svolti nei procedimenti di registrazione e mantenimento nel Registro del Sistema IT-Wallet, per coerenza con il quadro dei ruoli delineato.

Rapporto con l’EUDI Wallet e relazione finale richiesta

L’Autorità sottolinea che il Sistema IT-Wallet dovrà essere progressivamente coordinato con l’impianto giuridico e tecnologico del portafoglio europeo di identità digitale (EUDI Wallet), ancora in corso di definizione. Proprio per questo, al termine della sperimentazione e comunque non oltre il 31 marzo 2026, il Dipartimento per la trasformazione digitale dovrà trasmettere una relazione che indichi:

• ciascuna soluzione IT-Wallet offerta e il relativo fornitore;
• il numero di istanze IT-Wallet rilasciate per soluzione;
• ciascuna tipologia di attestato elettronico di attributi disponibile, con la fonte autentica, il fornitore e il ruolo assunto;
• ciascun verificatore e ciascun soggetto aggregatore, con il servizio online rispetto al quale l’attestato è utilizzato;
• le eventuali criticità rilevate e le misure individuate per porvi rimedio.

Conclusioni

Il parere è favorevole, ma non esaurisce il controllo dell’Autorità sul complesso impianto del Sistema IT-Wallet. Restano infatti espressamente riservati il successivo esame del decreto tecnico del DTD, la consultazione sul regolamento AgID di registrazione e sul decreto sui servizi remunerabili, oltre alla verifica finale dei risultati della sperimentazione e dell’adeguatezza delle garanzie privacy adottate.